ถอดรหัสเหตุโจมตีสะพาน SAND ของ The Sandbox: ทำไมตัวเลข 4.9 หมื่นล้านดอลลาร์ไม่ใช่เงินที่ถูกขโมย

แล้วตัวเลข 4.9 หมื่นล้านดอลลาร์มาจากไหน?

Blockaid รายงานว่ามีการสร้าง SAND ที่มีมูลค่าตามราคาตลาดประมาณ 4.9 หมื่นล้านดอลลาร์ ผ่านธุรกรรมมากกว่า 400 รายการ

คำว่า “มูลค่าตามราคาตลาด” หรือ face value หมายถึงการนำจำนวนโทเคนที่ถูกสร้างไปคูณกับราคาตลาดที่ใช้อ้างอิงในขณะนั้น ไม่ได้หมายความว่าโทเคนทั้งหมดจะขายได้ในราคาดังกล่าว หากมีโทเคนจำนวนมหาศาลถูกเทขายในตลาดที่มีสภาพคล่องจำกัด ราคาก็อาจร่วงลงอย่างรวดเร็ว และมูลค่าที่คำนวณไว้เดิมก็จะหายไป

หลังตรวจพบการโจมตี การปิดสะพาน การจำกัดการทำธุรกรรมจากตลาดซื้อขาย สภาพคล่องที่กระจัดกระจาย และความเชื่อมั่นในตลาดที่ลดลง ล้วนทำให้จำนวนเงินที่ผู้โจมตีอาจเปลี่ยนเป็นสินทรัพย์อื่นได้จริงมีจำกัด

รายงานข้อมูลบนบล็อกเชนอีกชุดหนึ่งระบุว่ามี SAND ราว 14.9 พันล้านโทเคน อยู่ในแอดเดรสที่เชื่อมโยงกับผู้โจมตี ขณะที่รายงานอีกฉบับประเมินว่าจำนวนที่ถูกนำออกไปได้จริงมีน้อยกว่าตัวเลขการสร้างโทเคนตามราคาตลาดอย่างมาก ตัวเลขเหล่านี้วัดคนละสิ่งกัน ได้แก่ จำนวนที่ถูกสร้าง ยอดคงเหลือในกระเป๋า และเงินที่ถูกแปลงหรืออาจแปลงเป็นสินทรัพย์อื่นได้ จึงไม่ควรนำมาใช้แทนกันเป็นตัวเลขความเสียหายเดียว

จากหลักฐานที่มีอยู่ ยังไม่สามารถยืนยันตัวเลขสุดท้ายของเงินที่ถูกสกัดออกไปได้อย่างเป็นอิสระและเป็นข้อยุติ ข้อสรุปที่ระมัดระวังที่สุดคือ การออก SAND โดยไม่ได้รับอนุญาตมีขนาดใหญ่มากในเชิงตัวเลข แต่ความเสียหายทางเศรษฐกิจน่าจะต่ำกว่า 4.9 หมื่นล้านดอลลาร์อย่างมีนัยสำคัญ

ทำไมตัวเลขของ The Sandbox จึงต่างจากข้อมูลของบริษัทความปลอดภัย?

The Sandbox ระบุว่าผลกระทบโดยตรงอยู่ที่ น้อยกว่า 0.01% ของอุปทาน SAND ทั้งหมด 3 พันล้านโทเคน ขณะที่บริษัทความปลอดภัยและนักวิเคราะห์ข้อมูลบนบล็อกเชนให้ความสำคัญกับจำนวนโทเคนที่ถูกสร้าง หรือจำนวนที่พบในแอดเดรสของผู้โจมตี

ตัวเลขเหล่านี้ไม่จำเป็นต้องขัดแย้งกัน เพราะอาจกำลังวัดผลลัพธ์คนละแบบ

• ตัวเลขของ The Sandbox สะท้อนการประเมินผลกระทบโดยตรงหรือความเสียหายที่คาดว่าจะเกิดขึ้นจริง
• ตัวเลขของ Blockaid สะท้อนมูลค่าตามราคาตลาดของโทเคนที่ถูกสร้างขึ้นโดยไม่มีสินทรัพย์รองรับ
• ยอดคงเหลือบนบล็อกเชน สะท้อนจำนวนโทเคนที่พบในแอดเดรสซึ่งเชื่อมโยงกับผู้โจมตี
• ตัวเลขความเสียหายที่เกิดขึ้นจริง ต้องพิจารณาว่ามีโทเคนจำนวนเท่าใดถูกขาย แลกเปลี่ยน หรือใช้ถอนสินทรัพย์อื่นออกมา

จนกว่า The Sandbox จะเผยแพร่รายงานชันสูตรเหตุการณ์ หรือ post-mortem พร้อมบัญชีผลกระทบที่ละเอียดขึ้น ตัวเลขเหล่านี้ควรถูกนำเสนอในฐานะการวัดคนละมิติของเหตุการณ์ ไม่ใช่ตัวเลขความเสียหายชุดเดียวที่ถูกปรับให้ตรงกันแล้ว

The Sandbox รับมืออย่างไร?

The Sandbox ระบุว่าได้แก้ไขและควบคุมช่องโหว่แล้ว พร้อมบล็อกการโอนผ่านสะพานข้ามเครือข่ายที่ได้รับผลกระทบ และปิดการเชื่อมต่อที่เกี่ยวข้องกับ Base และ BNB Smart Chain ส่วน SAND บน Ethereum และ Polygon ยังคงไม่ได้รับผลกระทบ

โครงการยังระบุว่าจะบันทึกยอดหรือสถานะของผู้ให้สภาพคล่องที่ได้รับผลกระทบ ประสานงานกับผู้ให้สภาพคล่องที่เข้าเกณฑ์ และเผยแพร่รายงาน post-mortem โดยในช่วงเวลาที่มีรายงานดังกล่าว ยังไม่มีการประกาศหลักเกณฑ์ผู้มีสิทธิ์ จำนวนเงินชดเชย หรือวิธีจ่ายเงินอย่างเป็นทางการ

ผู้ใช้จึงควรแยกให้ออกระหว่างมาตรการหยุดเหตุการณ์ในทันที กับแผนฟื้นฟูหรือชดเชยในภายหลัง การหยุดสะพานช่วยป้องกันไม่ให้ช่องโหว่เดิมถูกใช้ซ้ำ แต่ไม่ได้แก้ปัญหามูลค่าของโทเคนที่ถูกสร้างไปแล้ว หรือความเสียหายที่ผู้ให้สภาพคล่องอาจได้รับโดยอัตโนมัติ

ตลาดซื้อขายตอบสนองอย่างไร?

เหตุการณ์นี้ทำให้ตลาดซื้อขายคริปโตเคอร์เรนซีในเกาหลีใต้ใช้มาตรการป้องกันไว้ก่อน Bithumb ระงับการฝากและถอน SAND ส่วน Upbit ออกคำเตือนให้นักลงทุนระมัดระวังการซื้อขาย เนื่องจากพบกิจกรรมบนบล็อกเชนที่ผิดปกติและอาจเกิดความผันผวนเพิ่มขึ้น

รายงานบางส่วนระบุว่าราคาตลาดของ SAND ค่อนข้างทรงตัวระหว่างเกิดเหตุ มากกว่าจะร่วงลงอย่างรุนแรง อย่างไรก็ตาม ราคาที่ไม่พังทันทีไม่ได้แปลว่าเหตุการณ์ไม่มีความเสียหายทางเศรษฐกิจ เพราะการจำกัดธุรกรรมและสภาพคล่องที่แยกออกจากกันอาจทำให้การค้นหาราคาที่แท้จริงล่าช้า ผลกระทบระยะยาวยังขึ้นอยู่กับวิธีจัดการโทเคนที่ถูกสร้างโดยไม่ได้รับอนุญาตและพูลสภาพคล่องที่ได้รับผลกระทบ

เหตุการณ์นี้เหมือนกับกรณี KelpDAO หรือไม่?

เหตุการณ์ SAND และเหตุโจมตี KelpDAO เมื่อวันที่ 18 เมษายน 2026 ต่างเกี่ยวข้องกับระบบข้ามเครือข่ายที่สร้างบนโครงสร้าง LayerZero แต่รูปแบบความล้มเหลวที่มีรายงานแตกต่างกัน

ในกรณี KelpDAO ผู้โจมตีเจาะโครงสร้างพื้นฐานที่ใช้กับ LayerZero Decentralized Verifier Network (DVN) และอาศัยการตั้งค่าแบบมีผู้ตรวจสอบเพียงรายเดียว หรือ single-verifier configuration จากนั้นจึงส่งข้อความข้ามเครือข่ายปลอม ทำให้สะพานปล่อย rsETH จำนวน 116,500 โทเคน มูลค่าประมาณ 292 ล้านดอลลาร์ในขณะนั้นออกไป

ส่วนเหตุการณ์ SAND เกิดขึ้นที่สิทธิ์ของสัญญาอัจฉริยะซึ่งถูกมอบหมายให้ delegate และการใช้ approveAndCall เพื่อเปิดทางให้สร้างโทเคนโดยไม่ได้รับอนุญาต ความแตกต่างนี้มีความสำคัญ เพราะทั้งสองเหตุการณ์สะท้อนความเสี่ยงคนละด้านของระบบข้ามเครือข่าย—กรณีหนึ่งอยู่ที่โครงสร้างพื้นฐานการตรวจสอบข้อความ อีกกรณีอยู่ที่การออกแบบสิทธิ์และขอบเขตการอนุมัติของสัญญา

หลักฐานที่มีอยู่จึงยังไม่แสดงว่าเหตุการณ์ทั้งสองเกิดจากช่องโหว่เดียวกันของโปรโตคอล LayerZero โดยตรง

บทเรียนสำคัญสำหรับผู้ใช้และนักพัฒนา

ประเด็นที่สำคัญที่สุดคือการแยกความแตกต่างระหว่าง

1. โทเคนที่ถูกสร้างขึ้น
2. โทเคนที่ยังอยู่ในมือหรือแอดเดรสของผู้โจมตี
3. มูลค่าที่ถูกถอนหรือแปลงเป็นสินทรัพย์อื่นได้จริง

สะพานอาจล้มเหลวในลักษณะที่ทำให้เกิดอุปทานโทเคนตามราคาตลาดจำนวนมหาศาล แต่ไม่ได้หมายความว่าผู้โจมตีจะมีเงินที่ใช้จ่ายได้ในมูลค่าเท่ากัน ในทางกลับกัน เหตุการณ์ที่สร้างโทเคนดูมีมูลค่าไม่มากก็ยังสามารถสร้างความเสียหายต่อผู้ให้สภาพคล่องและความเชื่อมั่นของตลาดได้ หากสินทรัพย์ที่มีมูลค่าถูกปล่อยหรือถูกดูดออกจากพูล

สำหรับผู้ใช้ คำถามที่ควรตรวจสอบคือเครือข่ายและสัญญาใดได้รับผลกระทบ การฝากและถอนยังถูกระงับอยู่หรือไม่ และโครงการประกาศหลักเกณฑ์การรับสิทธิ์หรือแผนฟื้นฟูแล้วหรือยัง สำหรับนักพัฒนา เหตุการณ์นี้ย้ำให้เห็นความสำคัญของการตรวจสอบสิทธิ์ที่มอบหมาย ช่องทางการสร้างโทเคนที่มีสิทธิ์พิเศษ และขอบเขตการอนุญาตระหว่างเครือข่ายอย่างละเอียด ไม่ใช่ตรวจเฉพาะชั้นการยืนยันข้อความข้ามเครือข่ายเท่านั้น